Trusted Design

CVE-2015-1427 の詳細

CVEの情報

説明:
The Groovy scripting engine in Elasticsearch before 1.3.8 and 1.4.x before 1.4.3 allows remote attackers to bypass the sandbox protection mechanism and execute arbitrary shell commands via a crafted script.

CVE更新日: 2015-02-17 15:59:04.560000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999060000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2015-1427は、ElasticsearchのGroovyスクリプトエンジンにおけるサンドボックスバイパスの脆弱性です。

1. 脆弱性の概要

ElasticsearchのGroovyスクリプトエンジンに存在する脆弱性により、遠隔の攻撃者がサンドボックス保護メカニズムを回避し、細工されたスクリプトを介して任意のシェルコマンドを実行できる可能性があります。

1.1 影響

攻撃者は、Elasticsearch Java VMを実行しているユーザーとして、リモートからコードを実行することができます (RCE)。 これにより、セキュリティ制限を迂回し、不正なアクションを実行したり、仮想通貨マイナーなどの悪意のあるプログラムをダウンロードして実行したりする可能性があります。 この脆弱性は実際に悪用されていることが確認されています。

1.2 深刻度

  • CVSS v2 基本評価値: 7.5 (High) (AV:N/AC:L/Au:N/C:P/I:P/A:P)
  • CVSS v3.1 基本評価値: 9.8 (Critical) (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • EPSS (Exploit Prediction Scoring System) スコア: 99.906% (100パーセンタイル)
    • このスコアは、この脆弱性が今後30日以内に悪用される確率を推定するもので、非常に高い悪用可能性を示唆しています。
  • 2022年3月25日にCISAの「既知の悪用されている脆弱性（KEV）カタログ」に追加されており、実際に悪用が確認されていることが示されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はElasticsearchのGroovyスクリプトエンジンに特有のものであり、特定のOSバージョンに依存するものではありません。Elasticsearchが動作する様々なOS環境で影響を受ける可能性があります。

2.2 影響を受ける設定

  • 影響を受けるElasticsearchのバージョン:
    • 1.3.8より前のバージョン (具体的には 1.3.0〜1.3.7)
    • 1.4.x系列の1.4.3より前のバージョン (具体的には 1.4.0〜1.4.2)
  • この脆弱性は、ElasticsearchのREST APIを介した検索機能でGroovyコードの実行が許可されており、認証なしで悪用可能です。

3. 影響を受けた時の兆候

  • 許可されていないシェルコマンドの実行。
  • 仮想通貨マイナーなどの悪意のあるプログラムのダウンロードと実行。
  • Elasticsearchサーバーからの予期せぬ外部ネットワーク接続。
  • 仮想通貨マイニング活動による、ElasticsearchサーバーのCPU使用率の異常な急上昇。
  • システム上での不審なファイルやプロセスの存在。
  • CVE-2015-1427の悪用を試みる、Elasticsearchのデフォルトポート（TCP 9200）へのアクセス増加。

4. 推奨対策

4.1 本対策

  • Elasticsearchを脆弱性が修正されたバージョンにアップグレードしてください。
    • バージョン 1.3.8 以降
    • バージョン 1.4.3 以降
  • ベンダーのセキュリティアドバイザリチャンネルで、パッチが適用されたバージョンや回避策を確認してください。

4.2 暫定回避策（緩和策）

  • 動的スクリプトが厳密に必要でない場合は、無効にすることを検討してください。
  • Elasticsearchインスタンスへのネットワークアクセスを制限し、信頼できる内部ネットワークのみに限定してください。この脆弱性は認証を必要としないリモートからの攻撃であるため、ネットワーク境界での保護が重要です。
  • Elasticsearchのデフォルトポート (TCP 9200 および 9300) へのアクセスを制限するファイアウォールルールを導入してください。

参照したサイト

  • Red Hat Customer Portal - CVE-2015-1427
  • CVE Record - CVE-2015-1427
  • Safeguard - CVE-2015-1427: Elasticsearch Groovy Scripting Engine Remote Code Execution Vulnerability
  • Broadcom Inc. - Web Attack: ElasticSearch Remote Code Execution CVE-2015-1427
  • GitHub Advisory Database - Improper Access Control in Elasticsearch · CVE-2015-1427
  • Tenable® - CVE-2015-1427
  • Ubuntu - CVE-2015-1427
  • Security NEXT - 「Elasticsearch」脆弱性狙う攻撃が増加傾向 - 仮想通貨発掘目当てか
  • Jordan Wright - Remote Code Execution in Elasticsearch - CVE-2015-1427
  • Senserva - CVE-2015-1427 exploited: patch Elastic Elasticsearch now
  • 博客园 - 漏洞复现-CVE-2015-1427-Groovy远程代码执行
  • GitHub - vulhub/elasticsearch/CVE-2015-1427/README.md
  • GitHub - t0kx/exploit-CVE-2015-1427
  • CSDNブログ - CVE-2015-1427 ElasticSearch（Groovy 沙盒绕过&& 代码执行漏洞）
  • Rapid7 - ElasticSearch Search Groovy Sandbox Bypass | Metasploit Module

補足: この脆弱性は、公開されてからすぐに実証コードが出回り、2019年には警察庁がTCP 9200番ポートを狙うアクセスが増加していることを観測しています。 CISAは、米国連邦政府機関に対し、2022年4月15日までにこの脆弱性を修正するよう義務付けました。

NVDサイト

NVDでCVEの詳細を見る

戻る